29.03.2026
Aktualisiert 27.07.2026
Threat
Agent Goal Hijacking
Fremde Inhalte oder fehlerhafte Zustände können Ziele, Prioritäten und Entscheidungen eines KI-Agenten verschieben, während seine Aktionen weiterhin plausibel wirken.
Was Agent Goal Hijacking ist
Bei Agent Goal Hijacking verschiebt sich die freigegebene Mission eines KI-Agenten. Fremde Inhalte, manipulierte Tool-Ausgaben oder vergiftete Zustände verändern Ziele, Prioritäten oder Erfolgskriterien, sodass der Agent anschließend systematisch auf das falsche Ergebnis hinarbeitet.
Das ist besonders gefährlich, weil der Agent dabei oft legitime APIs, Identitäten und Berechtigungen nutzt. Seine einzelnen Schritte können technisch korrekt und plausibel begründet wirken, obwohl die Entscheidungslogik bereits manipuliert ist.
Wie der Angriff funktioniert
Der Einstieg ist häufig eine Prompt Injection. Zieldrift kann aber auch durch fehlerhafte Zusammenfassungen, widersprüchliche Richtlinien oder unsicheres Memory entstehen.
Freigegebenes Ziel
Der Agent erhält einen legitimen Auftrag
Fremder Kontext
Inhalte führen neue Prioritäten ein
Zieldrift
Plan und Erfolgskriterien verschieben sich
Legitime Aktion
Tools arbeiten nun für das falsche Ziel
Mögliche Folgen
Daten fließen ab
Kontrollen werden umgangen
Fehlsteuerung setzt sich fort
Wandert die neue Priorität in Memory oder Agent-zu-Agent-Nachrichten, kann aus einer lokalen Manipulation eine persistente Fehlsteuerung werden. Dann überschneidet sich das Risiko mit Memory & Context Poisoning und Tool Misuse.
Prompt Injection oder Goal Hijacking?
Mechanismus
Prompt Injection
Ein manipulativer Inhalt verändert die Verarbeitung eines Modells oder Agenten.
Kann auf einen einzelnen Schritt begrenzt bleiben
Ist ein häufiger Einstiegspfad
Zustand
Agent Goal Hijacking
Ziel, Priorität oder Erfolgskriterium des Agenten ist bereits verschoben.
Wirkt über mehrere Planungs- und Tool-Schritte
Kann auch ohne klaren Angriffsprompt entstehen
Prompt Injection beschreibt häufig den Eintritt. Goal Hijacking beschreibt die sicherheitsrelevante Wirkung auf Mission und Entscheidungen des Agenten.
Drei typische Angriffsszenarien
Ein Ticket verändert die Priorität
SupportEin präparierter Anhang macht aus der Fallprüfung einen Exportauftrag. Der Agent nutzt dafür reguläre Support-Rechte.
Der Vergleich kippt zur Freigabe
BeschaffungManipulierter Kontext ersetzt Verifikation durch Geschwindigkeit und lenkt den Agenten auf einen bevorzugten Anbieter.
Ein falsches Ziel wird weitergereicht
Multi-AgentEin kompromittierter Plan gelangt über Zusammenfassungen oder gemeinsame Zustände in weitere Agenten und Systeme.
Was wirklich schützt
Zielintegrität braucht eine technische Grenze außerhalb des Modellkontexts. Die wirksamsten Kontrollen prüfen nicht nur Texte, sondern auch Planänderungen und reale Aktionen.
Freigegebenes Ziel, erlaubte Zielwechsel und Erfolgskriterien strukturiert festhalten; semantische Drift zur Laufzeit blockieren.
Externe Inhalte kennzeichnen, isoliert verarbeiten und Änderungen an Plan oder Mission nicht aus Datenquellen übernehmen.
Tool-Rechte, Parameter und Zielsysteme serverseitig beschränken; kritische Aktionen zusätzlich freigeben lassen.
Ein manipulierter Kontext kann den Agenten beeinflussen. Er darf aber weder die Mission unbemerkt ändern noch kritische Wirkung entfalten.
Zusätzlich sollten Teams Schreibzugriffe auf Memory absichern und Planrevisionen, Freigaben sowie Tool-Aufrufe gemeinsam beobachten. Für verteilte Workflows kommen validierte Handoffs aus der Multi-Agent Security hinzu.
Wie Teams Zieldrift erkennen und testen
- Zielwechsel protokollieren: Jede Änderung an Auftrag, Priorität oder Erfolgskriterium mit Quelle und Zeitpunkt erfassen.
- Plan und Auftrag vergleichen: Tool-Aufrufe müssen semantisch zum freigegebenen Nutzerziel passen.
- Persistenz beobachten: Wiederkehrende Abweichungen in Zusammenfassungen, Memory und Folgeagenten korrelieren.
- Manipulierte Pfade testen: Präparierte Dokumente, Tool-Ausgaben und Handoffs gegen Richtlinien, Rechte und Freigaben prüfen.
Erkennung braucht die Verbindung von Nutzerauftrag, Kontextquelle, Planrevision und ausgeführter Aktion. Diese Sicht beschreibt Agent Observability.